Arrest van het Hof (Achtste kamer) van 19 december 2024

Unierecht

3 De overwegingen 8, 10 en 155 AVG luiden als volgt:

„(8) Voor zover deze verordening bepaalt dat de regels die zij bevat door lidstatelijk recht kunnen worden gespecificeerd of beperkt, kunnen de lidstaten indien nodig elementen van deze verordening in hun recht opnemen om de samenhang te garanderen en om de nationale bepalingen begrijpelijk te maken voor degenen op wie zij van toepassing zijn.

[…]

(10) Teneinde natuurlijke personen een consistent en hoog beschermingsniveau te bieden en de belemmeringen voor het verkeer van persoonsgegevens binnen de [Europese] Unie op te heffen, dient het niveau van bescherming van de rechten en vrijheden van natuurlijke personen op het vlak van verwerking van deze gegevens in alle lidstaten gelijkwaardig te zijn. Er moet gezorgd worden voor een in de gehele Unie coherente en homogene toepassing van de regels inzake bescherming van de grondrechten en de fundamentele vrijheden van natuurlijke personen in verband met de verwerking van persoonsgegevens. […] Deze verordening biedt de lidstaten ook ruimte om eigen regels voor de toepassing vast te stellen, onder meer wat de verwerking van bijzondere persoonsgegevenscategorieën (‚gevoelige gegevens’) betreft. In zoverre staat deze verordening niet in de weg aan lidstatelijk recht waarin specifieke situaties op het gebied van gegevensverwerking nader worden omschreven, meer bepaald door nauwkeuriger te bepalen in welke gevallen verwerking van persoonsgegevens rechtmatig geschiedt.

[…]

(155) In het lidstatelijke recht of in collectieve overeenkomsten, met inbegrip van ‚bedrijfsovereenkomsten’, kunnen specifieke regels worden vastgesteld voor de verwerking van de persoonsgegevens van werknemers in het kader van de arbeidsverhouding, met name voor de voorwaarden waaronder persoonsgegevens in de arbeidsverhouding op basis van de toestemming van de werknemer mogen worden verwerkt, voor de aanwerving, voor de uitvoering van de arbeidsovereenkomst, met inbegrip van de naleving van wettelijke of uit collectieve overeenkomsten voortvloeiende verplichtingen, voor het beheer, de planning en de organisatie van de arbeid, voor gelijkheid, diversiteit, gezondheid en veiligheid op het werk, voor de uitoefening en het genot van de met de arbeidsverhouding samenhangende individuele of collectieve rechten en voordelen, en voor de beëindiging van de arbeidsverhouding.”

4 Artikel 4 van deze verordening, met als opschrift „Definities”, bepaalt:

„Voor de toepassing van deze verordening wordt verstaan onder:

1. ‚persoonsgegevens’: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon (‚de betrokkene’); […]

2. ‚verwerking’: een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, […]

[…]

1. ‚verwerkingsverantwoordelijke’: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; […]

[…]”

5 Hoofdstuk II AVG, met als opschrift „Beginselen”, bevat de artikelen 5 tot en met 11.

6 Artikel 5 van deze verordening, met als opschrift „Beginselen inzake verwerking van persoonsgegevens”, bepaalt:

„1.

Persoonsgegevens moeten:

[…]

1. toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt (‚minimale gegevensverwerking’);

[…]

1. door het nemen van passende technische of organisatorische maatregelen op een dusdanige manier worden verwerkt dat een passende beveiliging ervan gewaarborgd is, en dat zij onder meer beschermd zijn tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of beschadiging (‚integriteit en vertrouwelijkheid’).

2.

De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van lid 1 en kan deze aantonen (‚verantwoordingsplicht’).”

7 Artikel 6 van deze verordening, met als opschrift „Rechtmatigheid van de verwerking”, bepaalt:

„1.

De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:

1. de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden;

2. de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen;

3. de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust;

4. de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen;

5. de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;

6. de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.

De eerste alinea, punt f), geldt niet voor de verwerking door overheidsinstanties in het kader van de uitoefening van hun taken.

2.

De lidstaten kunnen specifiekere bepalingen handhaven of invoeren ter aanpassing van de manier waarop de regels van deze verordening met betrekking tot de verwerking met het oog op de naleving van lid 1, punten c) en e), worden toegepast; hiertoe kunnen zij een nadere omschrijving geven van specifieke voorschriften voor de verwerking en andere maatregelen om een rechtmatige en behoorlijke verwerking te waarborgen, ook voor andere specifieke verwerkingssituaties als bedoeld in hoofdstuk IX.

3.

De rechtsgrond voor de in lid 1, punten c) en e), bedoelde verwerking moet worden vastgesteld bij:

1. Unierecht; of

2. lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is.

[…] Die rechtsgrond kan specifieke bepalingen bevatten om de toepassing van de regels van deze verordening aan te passen, met inbegrip van de algemene voorwaarden inzake de rechtmatigheid van verwerking door de verwerkingsverantwoordelijke; de types verwerkte gegevens; de betrokkenen; de entiteiten waaraan en de doeleinden waarvoor de persoonsgegevens mogen worden verstrekt; de doelbinding; de opslagperioden; en de verwerkingsactiviteiten en ‑procedures, waaronder maatregelen om te zorgen voor een rechtmatige en behoorlijke verwerking, zoals die voor andere specifieke verwerkingssituaties als bedoeld in hoofdstuk IX. […]

[…]”

8 Artikel 9 van deze verordening, met als opschrift „Verwerking van bijzondere categorieën van persoonsgegevens”, luidt als volgt:

„1.

Verwerking van persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken, en verwerking van genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een persoon, of gegevens over gezondheid, of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid zijn verboden.

2.

Lid 1 is niet van toepassing wanneer aan een van de onderstaande voorwaarden is voldaan:

1. de betrokkene heeft uitdrukkelijke toestemming gegeven voor de verwerking van die persoonsgegevens voor een of meer welbepaalde doeleinden, behalve indien in Unierecht of lidstatelijk recht is bepaald dat het in lid 1 genoemde verbod niet door de betrokkene kan worden opgeheven;

2. de verwerking is noodzakelijk met het oog op de uitvoering van verplichtingen en de uitoefening van specifieke rechten van de verwerkingsverantwoordelijke of de betrokkene op het gebied van het arbeidsrecht en het socialezekerheids- en socialebeschermingsrecht, voor zover zulks is toegestaan bij Unierecht of lidstatelijk recht of bij een collectieve overeenkomst op grond van lidstatelijk recht die passende waarborgen voor de grondrechten en de fundamentele belangen van de betrokkene biedt;

[…]”

9 Artikel 82 AVG, met als opschrift „Recht op schadevergoeding en aansprakelijkheid”, dat is opgenomen in hoofdstuk VIII van deze verordening, met als opschrift „Beroep, aansprakelijkheid en sancties”, bepaalt in lid 1:

„Eenieder die materiële of immateriële schade heeft geleden ten gevolge van een inbreuk op deze verordening, heeft het recht om van de verwerkingsverantwoordelijke of de verwerker schadevergoeding te ontvangen voor de geleden schade.”

10 Artikel 88 AVG, met als opschrift „Verwerking in het kader van de arbeidsverhouding”, dat is opgenomen in hoofdstuk IX van deze verordening, met als opschrift „Bepalingen in verband met specifieke situaties op het gebied van gegevensverwerking”, bepaalt in de leden 1 en 2:

„1.

Bij wet of bij collectieve overeenkomst kunnen de lidstaten nadere regels vaststellen ter bescherming van de rechten en vrijheden met betrekking tot de verwerking van de persoonsgegevens van werknemers in het kader van de arbeidsverhouding, in het bijzonder met het oog op aanwerving, de uitvoering van de arbeidsovereenkomst, met inbegrip van de naleving van wettelijke of uit collectieve overeenkomsten voortvloeiende verplichtingen, het beheer, de planning en de organisatie van de arbeid, gelijkheid en diversiteit op het werk, gezondheid en veiligheid op het werk, bescherming van de eigendom van de werkgever of de klant dan wel met het oog op de uitoefening en het genot van de met de arbeidsverhouding samenhangende individuele of collectieve rechten en voordelen, en met het oog op de beëindiging van de arbeidsverhouding.

2.

Die regels omvatten passende en specifieke maatregelen ter waarborging van de menselijke waardigheid, de gerechtvaardigde belangen en de grondrechten van de betrokkene, met name wat betreft de transparantie van de verwerking, de doorgifte van persoonsgegevens binnen een concern of een groepering van ondernemingen die gezamenlijk een economische activiteit uitoefenen en toezichtsystemen op het werk.”

11 Artikel 99 AVG, met als opschrift „Inwerkingtreding en toepassing”, luidt:

„1.

Deze verordening treedt in werking op de twintigste dag na die van de bekendmaking ervan in het Publicatieblad van de Europese Unie.

2.

Zij is van toepassing met ingang van 25 mei 2018.”

Duits recht

12 § 26 van het Bundesdatenschutzgesetz (federale wet inzake gegevensbescherming) van 30 juni 2017 (BGBl. 2017 I, blz. 2097; hierna: „BDSG”), met als opschrift „Verwerking van gegevens met het oog op de arbeidsverhouding”, bepaalt in de leden 1 en 4:

„(1)

Persoonsgegevens van werknemers mogen met het oog op de arbeidsverhouding worden verwerkt indien dit noodzakelijk is voor de beslissing ten aanzien van het aangaan van een arbeidsverhouding of, na het aangaan van de arbeidsverhouding, voor de uitvoering of beëindiging daarvan of voor de uitoefening of nakoming van de wettelijke of uit een collectieve arbeidsovereenkomst, bedrijfs- of dienstakkoord (collectieve overeenkomst) voortvloeiende rechten en verplichtingen van degenen die de belangen van de werknemers behartigen. […]

[…]

(4)

De verwerking van persoonsgegevens, met inbegrip van bijzondere categorieën persoonsgegevens van werknemers met het oog op de arbeidsverhouding, is op basis van collectieve overeenkomsten met inachtneming van artikel 88, lid 2, [AVG] geoorloofd.”

Eerste vraag

34 Met zijn eerste vraag wenst de verwijzende rechter in wezen te vernemen of artikel 88, leden 1 en 2, AVG aldus moet worden uitgelegd dat een nationale bepaling die betrekking heeft op de verwerking van persoonsgegevens met het oog op de arbeidsverhouding en is vastgesteld op grond van artikel 88, lid 1, van deze verordening, ertoe moet leiden dat degenen tot wie deze bepaling is gericht niet alleen moeten voldoen aan de vereisten die voortvloeien uit artikel 88, lid 2, van die verordening, maar ook aan de vereisten die voortvloeien uit artikel 5, artikel 6, lid 1, en artikel 9, leden 1 en 2, ervan.

35 In dit verband zij eraan herinnerd dat de AVG ertoe strekt de nationale wetgevingen inzake de bescherming van persoonsgegevens in beginsel volledig te harmoniseren. Sommige bepalingen van deze verordening bieden de lidstaten evenwel de mogelijkheid om strengere of afwijkende nationale regels vast te stellen en laten hun een beoordelingsmarge met betrekking tot de wijze waarop deze bepalingen kunnen worden toegepast („open clausules”) (zie in die zin arrest van 30 maart 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, punt 51 en aldaar aangehaalde rechtspraak).

36 Artikel 88 AVG inzake de verwerking van persoonsgegevens in het kader van de arbeidsverhouding bepaalt onder welke voorwaarden de lidstaten bij wet of bij collectieve overeenkomst „nadere regels” kunnen vaststellen ter bescherming van de rechten en vrijheden van de bij een dergelijke verwerking betrokken werknemers. Overweging 155 van deze verordening vermeldt met name dat het begrip „collectieve overeenkomst” in de zin van artikel 88 „bedrijfsovereenkomsten” als die welke in het hoofdgeding aan de orde zijn, omvat. Voorts bevatten de artikelen 5, 6 en 9 van die verordening respectievelijk de beginselen inzake verwerking van persoonsgegevens, de voorwaarden voor de rechtmatigheid van die verwerking en regels betreffende de verwerking van bijzondere categorieën van dergelijke gegevens.

37 Volgens vaste rechtspraak moeten de bewoordingen van een Unierechtelijke bepaling die, zoals artikel 88 AVG, voor de betekenis en de draagwijdte ervan niet uitdrukkelijk verwijst naar het recht van de lidstaten, normaal gesproken in de gehele Unie autonoom en uniform worden uitgelegd, waarbij met name rekening moet worden gehouden met de bewoordingen van de betrokken bepaling, de daarmee nagestreefde doelstellingen en de context ervan (zie naar analogie arrest van 14 december 2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, punt 23 en aldaar aangehaalde rechtspraak).

38 Ten eerste blijkt uit de bewoordingen van artikel 88 AVG dat lid 1 ervan vereist dat de door deze bepaling toegestane „nadere regels” een specifiek op het gereglementeerde gebied toegesneden normatieve inhoud hebben die zich onderscheidt van de algemene regels van deze verordening, terwijl lid 2 ervan in overeenstemming met de door die verordening nagestreefde harmonisatiedoelstelling regelt welke beoordelingsmarge de lidstaten hebben die op grond van lid 1 een nationale regeling willen vaststellen (zie in die zin arrest van 30 maart 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, punten 61, 65, 72 en 75).

39 Deze bewoordingen maken daarentegen niet expliciet duidelijk of het bij de „nadere regels” die de lidstaten aldus kunnen vaststellen, uitsluitend vereist is dat daarin de naleving van de vereisten van artikel 88, lid 2, AVG wordt geëerbiedigd of dat dat ook geldt voor de naleving van andere bepalingen van deze verordening, zodat de verwerking van persoonsgegevens die op grond van dergelijke regels wordt verricht, bovendien in overeenstemming moet zijn met die laatste bepalingen.

40 Wat ten tweede de doelstellingen van artikel 88 AVG betreft, heeft het Hof reeds voor recht verklaard dat dit artikel een „open clausule” vormt en dat de bij lid 1 ervan aan de lidstaten verleende bevoegdheid, rekening houdend met de bijzondere kenmerken van een dergelijke verwerking, met name is toe te schrijven aan de ondergeschiktheidsband tussen de werknemer en de werkgever. Het Hof heeft gepreciseerd dat de voorwaarden van artikel 88, lid 2, van deze verordening de grenzen van de aan de lidstaten gelaten beoordelingsmarge aldus weergeven dat het daaraan inherente gebrek aan harmonisatie slechts toelaatbaar is wanneer de resterende verschillen gepaard gaan met specifieke en passende waarborgen ter bescherming van de rechten en vrijheden van de werknemers met betrekking tot de verwerking van hun persoonsgegevens in het kader van de arbeidsverhouding (zie in die zin arrest van 30 maart 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, punten 52, 53 en 73).

41 Bovendien heeft het Hof benadrukt dat de lidstaten bij de uitoefening van de hun bij artikel 88 AVG verleende bevoegdheid gebruik moeten maken van hun beoordelingsmarge onder de voorwaarden en binnen de beperkingen die door de bepalingen van deze verordening worden gesteld, en aldus wetgeving moeten vaststellen die geen afbreuk doet aan de inhoud en de doelstellingen van die verordening, die met name tot doel heeft een hoog niveau van bescherming van de rechten en vrijheden van de bij een dergelijke verwerking betrokken personen te waarborgen, zoals blijkt uit overweging 10 ervan. Bijgevolg moeten de door een lidstaat op grond van artikel 88 AVG vastgestelde regels tot doel hebben de rechten en vrijheden van de werknemers in verband met de verwerking van hun persoonsgegevens te beschermen (zie in die zin arrest van 30 maart 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, punten 54, 59, 62 en 74).

42 Om te voorkomen dat afbreuk wordt gedaan aan al deze doelstellingen, in het bijzonder de doelstelling om een hoog niveau van bescherming voor werknemers te waarborgen bij de verwerking van hun persoonsgegevens in het kader van de arbeidsverhouding, kan artikel 88 AVG echter niet aldus worden uitgelegd dat de „nadere regels” die de lidstaten op grond van dit artikel kunnen vaststellen, tot doel of tot gevolg mogen hebben dat de uit andere bepalingen van deze verordening voortvloeiende verplichtingen van de verwerkingsverantwoordelijke of zelfs de verwerker worden omzeild.

43 Hieruit volgt dat artikel 88, leden 1 en 2, AVG aldus moet worden uitgelegd dat ook wanneer de lidstaten zich op dit artikel baseren om bij wet of bij collectieve overeenkomst in hun interne rechtsorde „nadere regels” in te voeren, tevens moet worden voldaan aan de vereisten die voortvloeien uit de andere bepalingen waarop de onderhavige vraag specifiek betrekking heeft, te weten artikel 5, artikel 6, lid 1, en artikel 9, leden 1 en 2, van deze verordening. Dit geldt met name voor de naleving van het in die bepalingen neergelegde criterium van de noodzakelijkheid van de verwerking, waarnaar de verwijzende rechter in het bijzonder vraagt.

44 Ten derde bevestigt de context van artikel 88 AVG deze uitlegging.

45 Artikel 88 AVG is immers opgenomen in hoofdstuk IX van die verordening, met als opschrift „Bepalingen in verband met specifieke situaties op het gebied van gegevensverwerking”, terwijl de artikelen 5, 6 en 9 zijn opgenomen in hoofdstuk II ervan, met als opschrift „Beginselen”, dat dus een meer algemene strekking heeft. Voorts blijkt duidelijk uit de bewoordingen van artikel 6, dat in de leden 2 en 3 uitdrukkelijk verwijst naar de bepalingen van hoofdstuk IX, dat de in artikel 6 gestelde rechtmatigheidsvoorwaarden ook bindend zijn in het kader van „specifieke situaties” die worden beheerst door de bepalingen van hoofdstuk IX.

46 Bovendien is het volgens vaste rechtspraak bij iedere verwerking van persoonsgegevens vereist dat de op de verwerking van dergelijke gegevens toepasselijke beginselen en de rechten van de betrokkene, neergelegd in respectievelijk hoofdstuk II en hoofdstuk III AVG, worden geëerbiedigd. In het bijzonder moet de verwerking in overeenstemming zijn met de beginselen inzake verwerking van die gegevens in artikel 5 van deze verordening en voldoen aan de in artikel 6 van die verordening genoemde voorwaarden voor de rechtmatigheid van de verwerking [zie in die zin arresten van 2 maart 2023, Norra Stockholm Bygg, C‑268/21, EU:C:2023:145, punt 43 , en  11 juli 2024, Meta Platforms Ireland (Representatieve vordering), C‑757/22, EU:C:2024:598, punt 49 en aldaar aangehaalde rechtspraak].

47 Wat meer in het bijzonder de verhouding tussen artikel 88 AVG en andere bepalingen van deze verordening betreft, heeft het Hof met name in het licht van overweging 8 ervan opgemerkt dat ondanks het eventuele bestaan van „nadere regels” die de lidstaten op grond van artikel 88, lid 1, van die verordening hebben vastgesteld, iedere verwerking van persoonsgegevens moet voldoen aan de verplichtingen die voortvloeien uit de bepalingen van de hoofdstukken II en III van die verordening en, in het bijzonder, uit de artikelen 5 en 6 ervan (zie in die zin arrest van 30 maart 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, punten 67‑71 ).

48 Evenzo moeten de verplichtingen die voortvloeien uit artikel 9 AVG worden geëerbiedigd bij iedere verwerking van persoonsgegevens die onder deze verordening valt, zelfs als er „nadere regels” zijn vastgesteld op grond van artikel 88, lid 1, AVG. Artikel 9, dat de verwerking van de daarin opgesomde bijzondere categorieën gegevens regelt, is immers opgenomen in hoofdstuk II van die verordening, evenals de artikelen 5 en 6, waarvan de vereisten overigens cumulatief zijn met die van artikel 9 (zie in die zin arrest van 21 december 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, punten 73 en 77‑79 ). Bovendien is deze uitlegging in overeenstemming met het doel van artikel 9 AVG, dat erin bestaat een betere bescherming te bieden tegen verwerkingen die wegens de bijzondere gevoeligheid van de gegevens waarop zij betrekking hebben, een bijzonder ernstige inmenging in de grondrechten van de betrokkenen kunnen opleveren (zie in die zin arrest van 4 oktober 2024, Lindenapotheke, C‑21/23, EU:C:2024:846, punt 89 en aldaar aangehaalde rechtspraak).

49 Indien het recht van een lidstaat „nadere regels” in de zin van artikel 88, lid 1, AVG bevat, moeten de onder die regels vallende verwerkingen van persoonsgegevens dus niet alleen voldoen aan de voorwaarden van de leden 1 en 2 van dat artikel, maar ook aan die van de artikelen 5, 6 en 9 van deze verordening, zoals uitgelegd in de rechtspraak van het Hof.

50 Gelet op een en ander moet op de eerste vraag worden geantwoord dat artikel 88, leden 1 en 2, AVG aldus moet worden uitgelegd dat een nationale bepaling die betrekking heeft op de verwerking van persoonsgegevens met het oog op de arbeidsverhouding en is vastgesteld op grond van artikel 88, lid 1, van deze verordening, ertoe moet leiden dat degenen tot wie deze bepaling is gericht niet alleen moeten voldoen aan de vereisten die voortvloeien uit artikel 88, lid 2, van die verordening, maar ook aan de vereisten die voortvloeien uit artikel 5, artikel 6, lid 1, en artikel 9, leden 1 en 2, ervan.

Tweede vraag

51 Met zijn tweede vraag wenst de verwijzende rechter in wezen te vernemen of artikel 88, lid 1, AVG aldus moet worden uitgelegd dat wanneer een collectieve overeenkomst binnen de werkingssfeer van deze bepaling valt, de beoordelingsmarge waarover de partijen bij deze overeenkomst beschikken om te bepalen of een verwerking van persoonsgegevens „noodzakelijk” is in de zin van artikel 5, artikel 6, lid 1, en artikel 9, leden 1 en 2, van deze verordening, tot gevolg heeft dat de nationale rechter wordt belet om dienaangaande een volledige rechterlijke toetsing uit te oefenen.

52 Om te beginnen zij eraan herinnerd dat, zoals in punt 41 van het onderhavige arrest is benadrukt, de lidstaten bij de uitoefening van de hun bij artikel 88 AVG verleende bevoegdheid hun beoordelingsmarge onder de voorwaarden en binnen de beperkingen van de bepalingen van deze verordening moeten gebruiken en er aldus voor moeten zorgen dat de „nadere regels” die zij in hun interne rechtsorde opnemen, geen afbreuk doen aan de inhoud en de doelstellingen van die verordening. Deze regels moeten er met name toe strekken een hoog niveau van bescherming van de fundamentele rechten en vrijheden van de werknemers bij de verwerking van hun persoonsgegevens in het kader van de arbeidsverhouding te waarborgen.

53 Met betrekking tot de omvang van de rechterlijke toetsing die kan worden uitgeoefend ten aanzien van dergelijke nadere regels, heeft het Hof reeds geoordeeld dat het aan de aangezochte nationale rechter staat, die als enige bevoegd is om het nationale recht uit te leggen, om te beoordelen of die regels voldoen aan de voorwaarden en beperkingen van met name artikel 88 AVG. Overeenkomstig het beginsel van voorrang van het Unierecht dient die rechter, wanneer hij tot de vaststelling komt dat de betrokken nationale bepalingen niet aan die voorwaarden en beperkingen voldoen, die bepalingen buiten toepassing te laten. Bij gebrek aan nadere regels die aan de vereisten van artikel 88 voldoen, wordt de verwerking van persoonsgegevens in het kader van de arbeidsverhouding rechtstreeks geregeld door deze verordening (zie in die zin arrest van 30 maart 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, punten 80, 82‑84 en 89).

54 Deze overwegingen gelden ook voor partijen bij een collectieve overeenkomst als bedoeld in artikel 88 AVG, zoals die welke in het hoofdgeding aan de orde is. Zoals de Europese Commissie in haar schriftelijke opmerkingen in wezen heeft opgemerkt, moeten de partijen bij een collectieve overeenkomst immers over een beoordelingsmarge kunnen beschikken die, met name wat de grenzen ervan betreft, gelijkwaardig is aan die welke aan de lidstaten is toegekend, aangezien de in lid 1 van artikel 88 bedoelde „nadere regels” met name kunnen voortvloeien uit collectieve overeenkomsten. Overweging 155 van deze verordening vermeldt ook dat dergelijke regels kunnen worden vastgesteld in het recht van de lidstaten of in collectieve overeenkomsten, met inbegrip van „bedrijfsovereenkomsten”.

55 Ondanks de beoordelingsmarge die op grond van artikel 88 AVG voor de partijen bij een collectieve overeenkomst beschikbaar blijft, moet bij de rechterlijke toetsing van een dergelijke overeenkomst dus, net zoals bij de toetsing van een krachtens die bepaling vastgestelde regel van nationaal recht, zonder enig voorbehoud aan de orde kunnen komen of alle in die verordening opgenomen voorwaarden voor de verwerking van persoonsgegevens en daaraan gestelde beperkingen in acht zijn genomen.

56 Vervolgens moet erop worden gewezen dat een dergelijke rechterlijke toetsing meer in het bijzonder gericht moet zijn op de controle of de verwerking van dergelijke gegevens „noodzakelijk” is in de zin van de artikelen 5, 6 en 9 AVG. Met andere woorden, artikel 88 van die verordening kan niet aldus worden uitgelegd dat de partijen bij een collectieve overeenkomst over een beoordelingsbevoegdheid beschikken die hen in staat stelt „nadere regels” in te voeren die ertoe leiden dat dit noodzakelijkheidsvereiste minder strikt wordt toegepast of zelfs terzijde wordt geschoven.

57 Het is juist dat, zoals de verwijzende rechter en Ierland in wezen hebben opgemerkt, de partijen bij een collectieve overeenkomst in het algemeen goed in staat zijn om te beoordelen of een gegevensverwerking in een concrete beroepscontext noodzakelijk is, aangezien deze partijen doorgaans precies weten waaraan op de werkplekken en in de betrokken bedrijfstakken specifiek behoefte bestaat. Een dergelijk beoordelingsproces mag er echter niet toe leiden dat die partijen om redenen van efficiëntie of gemak concessies doen die op ontoelaatbare wijze afbreuk kunnen doen aan de doelstelling van de AVG om een hoog niveau van bescherming van de fundamentele rechten en vrijheden van werknemers bij de verwerking van hun persoonsgegevens te waarborgen.

58 Een uitlegging van artikel 88 AVG volgens welke de nationale rechterlijke instanties geen volledige rechterlijke toetsing van een collectieve overeenkomst kunnen verrichten, in het bijzonder om na te gaan of uit de door de partijen bij die overeenkomst aangevoerde rechtvaardigingsgronden blijkt dat de uit deze overeenkomst voortvloeiende verwerking van persoonsgegevens noodzakelijk is, is derhalve onverenigbaar met deze verordening, gelet op de in het vorige punt van het onderhavige arrest in herinnering gebrachte beschermingsdoelstelling.

59 Ten slotte moet worden benadrukt dat indien de aangezochte nationale rechter na afloop van zijn toetsing tot de vaststelling komt dat bepaalde bepalingen van de betrokken collectieve overeenkomst niet voldoen aan de voorwaarden en beperkingen van de AVG, hij deze bepalingen dan buiten toepassing moet laten overeenkomstig de in punt 53 van het onderhavige arrest bedoelde rechtspraak.

60 Gelet op een en ander moet op de tweede vraag worden geantwoord dat artikel 88, lid 1, AVG aldus moet worden uitgelegd dat wanneer een collectieve overeenkomst binnen de werkingssfeer van deze bepaling valt, de beoordelingsmarge waarover de partijen bij deze overeenkomst beschikken om te bepalen of een verwerking van persoonsgegevens „noodzakelijk” is in de zin van artikel 5, artikel 6, lid 1, en artikel 9, leden 1 en 2, van deze verordening, de nationale rechter niet belet om dienaangaande een volledige rechterlijke toetsing uit te oefenen.

Derde vraag

61 Gelet op het antwoord op de tweede vraag hoeft de derde vraag niet te worden beantwoord.